[AD DS] Réinitialiser le mot de passe de restauration d’annuaire (DSRM)

 

Le mot de passe de restauration d'annuaire est particulier. Il est utile dans les situations d'urgence et est rarement utilisé. Il n'est pas identique au mot de passe de l'administrateur du domaine et il peut être différent entre les contrôleurs de domaine. Il est important de mettre ce mot de passe en lieu sûr.

Si vous ne le connaissez pas, vous pouvez utiliser la procédure suivante pour le réinitialiser.

Ouvrez une invite de commande DOS (en tant qu'administrateur si la version est égale ou supérieure à Windows 2008) :

Tags: 

[eBook /Book] Active Directory 2012 R2 – Conception, Déploiement et Administration en Entreprise – 2ème édition

 

Cette seconde édition du livre sur les services de domaines Active Directory comme la première édition est organisée afin de permettre à chaque lecteur de mettre en œuvre les différents éléments au fil de la lecture.

Si le principe n'a pas changé, la deuxième édition présente les services de domaines sur Windows Server 2016 et a été enrichi d'exemples supplémentaires comme par exemple :

Tags: 

[Azure AD Connect] : Passer d’un compte Cloud vers un compte synchronisé

Dans cet article, nous allons voir comment passer de compte Office 365 crée dans le cloud à un compte synchronisé, sans perdre l'accès à la boite aux lettres et aux documents OneDrive et autres applicatifs.

Dans l'exemple, nous créons un nouveau compte sur le portail Office 365, dans la partie gestion des utilisateurs. Nous attribuons une licence à notre utilisateur.

Tags: 

[Azure AD Connect] Mise à jour de schéma

Lorsque vous modifier le schéma de votre annuaire Active Directory local (On Premise), vous devez mettre à jour l'outil de synchronisation Azure AD Connect, pour qu'il prenne en compte les modifications. C'est le cas par exemple, lorsque vous faites une extension de schéma pour installer un serveur Microsoft Exchange ou lorsque vous souhaitez installer un contrôleur de domaine plus récent.

Tags: 

Azure AD Connect : outil IdFix

Dans les articles précédents, j'avais présenté la synchronisation des comptes d'un domaine AD local à l'entreprise (On Premise) vers Azure Active Directory à l'aide de l'outil Azure AD Connect.

Si vous ne connaissez pas l'outil ou si vous vous n'êtes pas lu les articles précédents, je vous renvoie sur ce lien :

Azure AD Connect

Tags: 

[GPO] Nouveautés ADMX pour Windows 10 1803

Microsoft a publié un nouveau fichier Excel de référence incluant les nouveautés des stratégies de groupes pour Windows 10 – 1803.

Vous pouvez télécharger le fichier à l'adresse :

https://www.microsoft.com/en-us/download/details.aspx?id=56946

Vous pouvez télécharger les fichiers admx à l'adresse :

Tags: 

[Windows 10] Erreur de connexion RDP avec Windows 2016

Suite à des mises à jour appliquées sur Windows client, vous pouvez rencontrer le message d'erreur en ouvrant des sessions de bureau à distance  ; « Une erreur d'authentification s'est produite … Le problème peut être dû à une correction de l'oracle de chiffrement CredSSP ».

 

Il renvoie au lien :

https://go.microsoft.com/fwlink/?linkid=866660

Limite Active Directory : nombre de SID

Il existe des limitations sur Active Directory, comme la longueur du nom complet d'un objet, le nombre d'identificateur de sécurité (SID). Généralement, ces limites sont suffisamment importantes pour ne concerner qu'un nombre très restreint d'entreprise. Vous trouverez dans le lien suivant le détail des limites d'Active Directory Services :

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc756101(v=ws.10)

Tags: 

[PowerShell Script] Sauvegarder vos GPO

Si vous êtes amenés à modifier régulièrement vos stratégies de groupe, il peut être intéressant de conserver des sauvegardes à intervalles réguliers. Il est possible d'automatiser la sauvegarde en utilisant PowerShell.

La commande suivante permet par exemple de sauvegarde l'ensemble des GPO du domaine sur un partage réseau :

Backup-Gpo -All -Path \\2016DC1\Backup\Gpo

[PowerShell AD] : Voir la stratégie de mot de passe affinée pour un utilisateur

Si vous utilisez les stratégies de mots de passe affinée appliquée à des groupes de sécurité, afin d'appliquer des stratégies différentes pour certains groupes d'utilisateurs :

Il est possible de vérifier les paramètres pour un utilisateur spécifique à l'aide de la commande :

Get-ADUserResultantPasswordPolicy pbarth

 

[PowerShell AD DS] Création des utilisateurs

Dans ce nouvel article, qui est un peu la suite des précédents sur PowerShell, nous allons nous intéresser à la gestion des utilisateurs. PowerShell est un outil très puissant qui vous permettra d'automatiser la gestion complète des utilisateurs. Vous pouvez consulter mon article de l'année dernière pour vous faire une idée des possibilités d'automatisation : http://pbarth.fr/node/231.

Les commandes suivantes, vous donneront la liste des CmdLet présenté dans cet article :

Modifier les OUs par défaut pour les comptes utilisateurs et ordinateurs

 

Lorsque vous ajoutez un compte autrement que par la console « Utilisateurs et Ordinateurs Active Directory », les comptes sont créés respectivement dans les conteneurs « Users » pour les utilisateurs et « Computer » pour les ordinateurs.

Il est possible de modifier le conteneur par défaut pour les objets ordinateurs et utilisateurs. Pour cela vous pouvez utiliser les lignes de commandes suivantes.

Pour modifier le conteneur par défaut pour les utilisateurs :

[PowerShell AD] Search-ADAccount

 

Dans cet article nous allons voir comment utiliser la commande « Search-ADAccount », pour rechercher des comptes avec un état spécifique dans l'AD.

La commande permet de rechercher des comptes d'utilisateurs ou d'ordinateurs. Il existe des options permettant de sélectionner des états spécifiques comme par exemple, les comptes désactivés « -AccountDisabled ». La commande suivante liste les comptes du domaine qui sont désactivés. Le « select » ne renvoie que l'identifiant LDAP (distinguishedname) ainsi que le type d'objet afin de limiter les colonnes.

Tags: 

Informations sur les GPO et les liens dans l’annuaire AD

Dans cet article nous allons voir plus en détail, comment sont enregistrées les informations des stratégies de groupe avec Active Directory Domain Services.

Lorsque vous créez une stratégie de groupe, il y a plusieurs emplacements où les informations sont enregistrées.

Le premier, sans doute le plus connu, est le dossier contenant les paramètres de la stratégie. Ils se trouvent dans un dossier partagé spécifique « Sysvol ». Chaque stratégie est représentée par un sous-dossier contenant des paramètres utilisateurs et des paramètres machines.

Tags: 

[PowerShell AD] Nouvelle forêt / domaine

 

Si vous avez déjà créé une nouvelle forêt/domaine avec PowerShell, vous avez pu constater qu'il est possible de définir le niveau fonctionnel de la forêt / du domaine avec l'option « -ForestMode » ou « -DomainMode ». Il suffisait d'indiquer la valeur, comme par exemple pour Windows 2012 : « Win2012 ». Par déduction pour Windows 2016 il faudrait utiliser « Win2016 » et cela donnera par exemple :

Install-ADDSForest -CreateDnsDelegation:$false -DatabasePath "D:\NTDS" `

[PowerShell AD DS] OU : protection contre la suppression accidentelle

 

Nous avons vu dans l'article précédent les commandes PowerShell liées au OU. Nous avons pu également constater que certaine OU sont protégés contre la suppression :

La commande suivante permet de vérifier si une OU est protégée. Dans ce cas la propriété « ProtectedFromAccidentalDeletion » vaut « True » :

Tags: 

[PowerShell AD DS] Création et modification des OUs

Dans cet article, nous allons voir comment créer, modifier et supprimer des OU avec les commandes PowerShell.

La commande suivante permet de lister les commandes PowerShell liées aux unités d'organisations :

Get-Command *-adorg*

 

Pour lister l'ensemble des OUs, vous pouvez utiliser la commande ci-dessous :

Get-ADOrganizationalUnit -Filter *

Tags: 

[News] Projet Honolulu

 

Depuis quelques jours Microsoft a mis à disposition son nouvel outil pour la gestion des serveurs. Il offre les mêmes services qu'un certain nombre de consoles comme le gestionnaire de serveur par exemple. L'accès se fait à travers un navigateur Web (Edge ou Chrome). Il est mis à disposition en Technical Preview et s'installe à partir d'un « .msi » téléchargeable ici : https://aka.ms/HonoluluDownload

Tags: 

[AD] Exemples de problèmes d’ouverture de session

 

Dans cet article, nous allons voir un certain nombre de messages d'erreur lors de l'ouverture session et son origine.

Une des premières sources de problèmes est la synchronisation des horloges entre PC Client et serveur. Vous pouvez consulter l'article suivant afin de configurer la synchronisation des horloges dans votre forêt Active Directory :

http://pbarth.fr/node/87

Un autre problème fréquent est l'impossibilité de joindre un contrôleur de domaine :

[GPO] Stratégie de verrouillage des comptes

Dans cet article nous allons voir comment utiliser les stratégies de verrouillage de compte.

Le verrouillage des comptes permet de bloquer un compte pendant un certain temps si un nombre définit de tentatives de connexion n'ont pas réussi pendant une certaine période.

Le paramètre n'est pas une nouveauté et il est compatible avec l'ensemble des versions de contrôleurs de domaine.

Tags: 

[Office365 PowerShell] Attribué une licence à un utilisateur

 

Dans cet article nous allons voir comment attribué ou enlevé une licence Office 365pour un utilisateur avec le module PowerShell MSOnline.

Pour installer le module PowerShell vous pouvez consulter l'article suivant : [Office 365 ] : Installer les outils PowerShell

Dans le premier exemple nous allons lister les utilisateurs qui disposent d'une licence ou non. La commande Get-MsolUser permet de lister les utilisateurs. La propriété « IsLicensed » permet de voir si une licence est attribuée à l'utilisateur.

Quand restaurer un DC ?

 

Lorsqu'un de vos contrôleurs de domaine est corrompu ou n'arrive plus à répliquer et que vous disposez d'autres contrôleurs de domaine encore viables dans le même domaine, il est recommandé de reconstruire le DC plutôt que de le restaurer. Pour reconstruire un DC, vous devez l'arrêter, nettoyer les métadonnées Active Directory sur un des DCs restant puis réinstaller le serveur en tant que DC.

Néanmoins, si votre DC détient également d'autres rôles dont des rôles applicatifs, l'opération de réinstallation des applications peut créer des problèmes supplémentaires.

[Office365 PowerShell] Nombre de licences disponibles

Dans l'article précédent nous avons vu comment se connecter à Office Online avec PowerShell :

[Office 365 ] : Installer les outils PowerShell

 

Dans cet article nous allons voir déterminer le nombre de licences dans votre abonnement.

Pour cela nous allons utiliser la commande PowerShell suivante :

Tags: 

Pages

S'abonner à Philippe BARTH RSS